Veri İşleme ve Güvenlik Eki

Taraflar, siparişte veya yazılı hizmet mutabakatında kimliği bulunan konaklama işletmesi ile Teyna Yazılım Bilişim Sanayi ve Ticaret Limited Şirketi’dir (Mükemmelos). Bu ek, işletme adına yürütülen kişisel veri işlemesini düzenler ve Satış ve Hizmet Sözleşmesiyle birlikte uygulanır. İşletmenin yetkili temsilcisi eki işletme adına kabul eder.

Teyna’nın adresi Kışla Mah. 37 SK. Cengizhan APT. B Girişi No:6 İç Kapı No:102, 07040 Muratpaşa / Antalya; e-posta [email protected]; KEP [email protected]; MERSİS 0841105031800001’dir. İşletmenin bilgileri sipariş özeti veya hizmet mutabakatında yer alır.

İşletme, kendi rezervasyon, konaklama, misafir, çalışan, kimlik bildirimi ve konaklama faturası işlemlerinin amaç ve esaslarını belirleyen veri sorumlusudur. Teyna, bu işlemlerde işletmenin talimatları ve hizmet kapsamıyla sınırlı veri işleyendir. Taraflar kendi veri güvenliği yükümlülüklerini yerine getirir; işleme hizmeti alınması bu yükümlülükleri ortadan kaldırmaz.

Teyna, kendi hesap, satış, fatura, destek ve Mükemmelos misafir profili hizmetinin amaçlarını belirlediği faaliyetlerde ayrıca veri sorumlusudur. Bu faaliyetler /kvkk adresindeki aydınlatma ve ilgili hizmet koşullarına tabidir. Bir misafirin profilinden rezervasyon için kullanılan gerekli bilgiler işletmeye iletildiğinde, işletme bunları kendi rezervasyonu için veri sorumlusu olarak işler. Bu durum diğer işletmelerin misafir kayıtlarına veya CRM notlarına erişim yetkisi oluşturmaz.

İlgili kişiler; misafirler, rezervasyonu yapan kişiler, beraberlerinde konaklayan kişiler, fatura alıcıları, çalışanlar ve işletmenin yetkili kullanıcılarıdır. Veriler hizmetin gerektirdiği kimlik, iletişim, konaklama, rezervasyon, fiyat/ödeme sonucu, fatura alıcısı, çalışan yetki/görev ve teknik erişim kayıtlarıyla sınırlıdır. Özellik kullanılmadığında o özellik için veri gönderilmemelidir.

İşleme; kaydetme, barındırma, düzenleme, yetkili görüntüleme, rezervasyon ve görev süreçlerini yürütme, işletmenin etkinleştirdiği entegrasyonlara gerekli bilgiyi iletme, teknik destek, güvenlik, yedekleme ve şartları oluşan silme/anonimleştirmeyi kapsar. İşleme süresi, hizmetin yürütülmesi ve sona ermesinden sonra geçerli iade, imha veya kanuni saklama işlemleriyle sınırlıdır.

İşletme, amaç, veri kategorisi, alıcı ve saklama sürelerini kendi envanterinde belirler. İşletme mevzuatın ve hizmetin gerektirmediği kimlik belgesi görüntüsü, sağlık, biyometrik veya diğer özel nitelikli verileri genel not veya destek alanlarına yüklememelidir. Böyle bir veri işleme ihtiyacı varsa dayanak, kapsam ve güvenlik şartları işlem başlamadan ayrıca değerlendirilir; bu ek tek başına yetki oluşturmaz.

İşletmenin yetkili kullanıcıları tarafından girilen veriler, ayarlar ve entegrasyon seçimleri ile doğrulanmış yazılı destek talepleri hizmet kapsamındaki talimatları oluşturur. Teyna verileri bu talimatlar ve geçerli hukuki yükümlülüklerle sınırlı işler; işletme verilerini kendi pazarlaması, genel müşteri havuzu veya bağımsız profil oluşturma amacıyla kullanamaz.

İşletme, veri toplama ve aktarma için geçerli hukuki dayanağı, veri elde edilirken gerekli aydınlatmayı, amaçla sınırlılığı ve doğruluğu sağlar; hesap yetkilerini ve entegrasyon erişimlerini yönetir. Açık rıza gereken bir işlem için amaç ve kapsamı belirli ayrı rıza gerekir. Bu ekin veya rezervasyon sözleşmesinin kabulü ilgili kişilerin açık rızası değildir.

Teyna hukuka aykırı olabileceğini tespit ettiği talimatı işletmeye bildirir ve konu açıklığa kavuşana kadar ilgili işlemi durdurabilir. Mevzuatın zorunlu kıldığı açıklama ve saklama halleri saklıdır; bildirim hukuken engellenmedikçe işletme bilgilendirilir.

Teyna ve işletme, verinin niteliği ve riskine uygun teknik ve idari tedbirler alır. Teyna; yetki ve hesap ayrımı, hizmet için gereken en az erişim, erişim kayıtları, güvenli iletişim, sır ve anahtarların korunması, uygun yedekleme, güncelleme ve olay takibi tedbirlerini kendi hizmet alanında uygular. İşletme kendi kullanıcı hesapları, cihazları, personel yetkileri ve hizmet dışına çıkardığı kopyalar için gerekli tedbirleri uygular.

Teyna kişisel verilere erişebilen çalışan ve hizmet sağlayıcılarının gizlilik yükümlülüğü altında olmasını sağlar; erişim bakım, destek veya görev için gereken kapsamla sınırlandırılır. Gizlilik yükümlülüğü görev ve hizmet sona erdikten sonra da devam eder. Destek sırasında parola, kart güvenlik kodu ve gereksiz kişisel belge istenmez.

İşletme, hizmetin sunulması için gerekli barındırma, depolama, ağ güvenliği ve teknik destek hizmetlerinin bu eke uygun biçimde kullanılmasına genel yetki verir. Teyna kullanılan alt hizmet sağlayıcıları, işleme amaçları ve konumları hakkında bilgi sağlar; kişisel veri işlemeyi etkileyen değişiklikleri uygulamadan önce işletmeye bildirir. İşletmenin gerekçeli veri koruma itirazı değerlendirilir; hukuka uygun çözüm sağlanmadan itiraz konusu aktarım başlatılmaz.

Teyna alt hizmet sağlayıcılarına veri koruma ve gizlilik yükümlülüklerini aktarır; hizmet alınması Teyna’nın işletmeye karşı kendi yükümlülüklerini kaldırmaz. İşletmenin kendi hesabıyla etkinleştirdiği ödeme, fatura, e-posta, mesaj veya kanal hizmetlerindeki taraf rolleri ayrıca değerlendirilir. Bu sağlayıcıların tamamı otomatik olarak Teyna’nın veri işleyeni sayılmaz.

Yasal yükümlülükler ve yetkili makamların hukuka uygun talepleri dışında paylaşım amaç için gerekli veriyle sınırlıdır. İşletme, kullandığı ek alıcı ve hizmetleri kendi aydınlatmasına ekler.

Yurt dışındaki altyapı, depolama veya yurt dışından erişim dahil aktarımlarda KVKK m. 9 şartları işlem başlamadan sağlanmalıdır. Sunucunun Türkiye’de bulunması veya bu ekin kabulü tek başına aktarım güvencesi oluşturmaz. Aktarım için veri türü, amaç, alıcı, ülke, tarafların rolleri ve geçerli hukuki mekanizma belirlenir.

Yeterlilik kararı bulunmayan aktarımlarda uygun güvence sağlanmalıdır; yeterlilik veya uygun güvence bulunmadığında arızi aktarım istisnaları yalnız kanuni şartlarıyla uygulanabilir ve sürekli aktarım için genel dayanak yapılamaz. Kurulun standart sözleşmesi kullanılacaksa doğru sözleşme türü, yetkili imzalar, ek bilgiler ve imzaların tamamlanmasından itibaren beş iş günü içinde bildirim sağlanır.

Bu ek Kurulun yurt dışı aktarım standart sözleşmesi değildir. Gerekli ayrı aktarım belgelerini değiştirmez veya tamamlanmış saymaz. Aktarımı yapan taraf kendi kanuni yükümlülüklerini yerine getirir; taraflar gerekli bilgi ve belgeyi birbirine sağlar.

İşletme kendi operasyonel verilerine ilişkin başvuruları veri sorumlusu olarak değerlendirir. Teyna doğrudan aldığı bu tür talepleri gecikmeksizin işletmeye iletir ve yanıt, düzeltme, iade veya imha işlemlerinde kapsamı gerekli yardımı sağlar. Teyna’nın profil ve diğer kendi veri sorumlusu faaliyetlerine ilişkin başvuruları Teyna sonuçlandırır. Birden fazla faaliyeti kapsayan talepte taraflar kendi işlemlerini ayrı değerlendirir ve ilgili kişiyi doğru muhatap hakkında bilgilendirir.

Teyna, işletmenin veri koruma denetimi için hizmet kapsamındaki işlem ve güvenlik bilgilerini sağlar. Denetim yöntemi diğer müşterilerin verileri, erişim sırları ve hizmet güvenliği korunarak kararlaştırılır; bu sınırlar denetim yükümlülüğünü etkisiz hale getirecek şekilde kullanılamaz. Yetkili makamların denetim ve bilgi isteme yetkileri saklıdır.

Teyna işletme adına işlediği kişisel verilere ilişkin bir ihlali öğrendiğinde gecikmeksizin işletmeye bildirir. Bildirimde bilinen olay zamanı ve kapsamı, etkilenen veri/kişi grupları, olası sonuçlar, alınan tedbirler ve irtibat bilgileri paylaşılır; bilgiler henüz tamamlanmamışsa gecikmeye yol açmadan aşamalı güncelleme yapılır.

İşletme veri sorumlusu olarak Kurula ve ilgili kişilere bildirim yükümlülüğünü değerlendirir ve yerine getirir. Teyna kendi veri sorumlusu olduğu profil ve diğer hizmetlerde kendi bildirimini yürütür. Taraflar kayıtları korur, zararın azaltılması ve olayın giderilmesinde iş birliği yapar; bildirimin muhatabı ve süresi iç onay süreçleriyle geciktirilemez.

İşletme hizmet sona ermeden veya erişim kapanmadan önce ihtiyaç duyduğu kayıtların iadesini ya da aktarımını yazılı olarak talep edebilir. Taraflar doğrulanmış yetki, veri kapsamı, mevcut dışa aktarım işlevleri, güvenli teslim yöntemi ve işlem takvimini belirler. Bu düzenleme bütün veri türleri için otomatik ve anlık dışa aktarım bulunduğu anlamına gelmez.

Hizmet sona erdiğinde işletmenin talimatı ve kanuni yükümlülükler birlikte değerlendirilerek kişisel veriler iade edilir ve saklama gerekçesi sona eren kopyalar silinir, yok edilir veya anonim hale getirilir. Saklanması zorunlu kayıtların gerekçesi, süresi ve erişim sınırı belirlenir. Yedek ve felaket kurtarma kopyaları da imha planına dahil edilir; geri yükleme silinmiş veriyi yeniden olağan kullanıma açmamalıdır.

Hizmeti durdurma, hesabı arşivleme ve silme talebi kaydetme işlemleri fiziksel imha değildir. Teyna yapılan iade/imha işlemi ile kanuni sebeple korunan veri grupları hakkında işletmeye bilgi verir. İşletme de hizmet dışına aktardığı kopyalara ilişkin yükümlülüklerini sürdürür.

Bu ek, sipariş özeti ve hizmet sözleşmesiyle birlikte incelenip kabul edildiğinde ilgili hizmet için uygulanır. Ödeme alınmadan açılan hizmetlerde yazılı hizmet mutabakatına eklenerek ayrıca kabul edilir; yönetici tarafından teknik kurulum yapılması işletmenin kabulü sayılmaz.

Kabul edilen metnin sürümü ve içeriği korunur. Sonraki metin değişikliği önceki kabul kaydını değiştirmez; yeni veya değişen işleme kapsamı için gerekli bilgilendirme ve sözleşme düzenlemesi yapılır. Bu ek tarafların kendi kusurundan veya mevzuattan doğan sorumluluğunu ortadan kaldırmaz. Uyuşmazlıklarda ana sözleşmenin başvuru hükümleri ve emredici mevzuat geçerlidir.

Teyna, barındırdığı Mükemmelos hizmetlerine ilişkin sınırlı trafik kayıtlarını yer sağlayıcının kanuni yükümlülükleri kapsamında kendi veri sorumlusu sıfatıyla işler; bu faaliyet işletme adına yürütülen rezervasyon ve PMS verisi işlemesinden ayrıdır. Kaynak ve hedef IP/port, başlangıç ve bitiş zamanı, hizmet ve alan adı, işlem sonucu, aktarılan veri miktarı ile doğrulanmışsa ilgili hesap ve işletme eşleştirmesi kaydedilir. Sayfa yollarındaki değişken değerler ve sorgular maskelenir; parola, oturum belirteci, Authorization başlığı, cookie, kart veya kimlik belgesi ve istek/yanıt gövdesi trafik arşivine alınmaz. Hukuki sebep KVKK m. 5/2-a ve ç kapsamında kanuni yükümlülüktür; bu işlem açık rızaya bağlanmaz. Kanunun bir ile iki yıl arasındaki saklama çerçevesinde bu sürümün trafik saklama politikası bir takvim yılıdır. Uygulanabilir düzenleme veya yetkili makamın hukuken geçerli muhafaza talebi ayrıca değerlendirilir; muhafaza kapsamı, gerekçesi ve sona ermesi kayıt altına alınır. Süre sonunda, muhafaza kapsamı dışındaki kayıtlar denetimli imha edilir. Bu süre profilin, beraberindeki kişilerin, rezervasyonun veya diğer müşteri verilerinin tamamına uygulanmaz.

Trafik kayıtlarına erişim ayrı yetkilerle sınırlandırılır; yetkili inceleme, dışa aktarım ve imha işlemleri denetim kaydına bağlanır. Gerekli bilgiler hukuken yetkili makamlara talep kapsamıyla sınırlı olarak verilir. Arşiv sağlayıcısı ve zaman damgası hizmeti için alıcı, ülke ve aktarım şartları ayrıca belirlenir; bir sağlayıcının veya hash/zaman damgası aracının seçilmiş olması tek başına hukuki uyumluluk güvencesi değildir. Yer sağlayıcılığı bildirimi bir lisans veya BTK tarafından ürünün onaylandığı iddiası olarak sunulmaz.

Trafik kaydının güvenilir biçimde üretilemediği veya kayıt kuyruğunun kapasitesinin dolduğu durumda hizmete yeni işlem kabulü durdurulabilir. Teknik işletim ve arşiv sağlığı kontrol edilir; hizmet kesintisi ve toparlanma izlenir. Mevcut kabul ve arşiv kopyaları korunur; bu sürüm geçmiş sözleşme kayıtlarının değiştirilmesi anlamına gelmez.